Il principio di accountability del GDPR impone che i titolari tengano traccia non solo dei propri flussi interni di dati personali, ma anche di quelli all’esterno, verso terzi. Non avere il controllo di questo processo – o non voler rivelare queste informazioni – è sanzionabile, come accaduto con recente sentenza della Corte di Giustizia UE (causa C-154/21, RW vs. Österreichische Post, sentenza del 12 gennaio 2023).
Non vi è stata sanzione diretta solo perché la CGUE ha rinviato al giudice nazionale la determinazione successiva.
Tuttavia, la Corte ha finalmente chiarito un dubbio interpretativo che da tempo attanagliava l’art. 15 GDPR, sulla granularità dell’accesso alle operazioni di comunicazioni dei dati, centro di un combinato disposto di più articoli del GDPR.
Come vedremo di seguito, si tratta di una pronuncia dirimente sia per l’approdo interpretativo (alcuni dubbi non erano stati chiaramente risolti nemmeno dalle autorità di controllo) che per i risvolti implementativi e di compliance interna. Rafforzando la necessità di una migliore e completa data governance, di un tracciamento puntuale del ciclo di vita dei dati che dovrebbe appartenere a ogni titolare.
Indice degli argomenti
Il caso: dati degli elenchi telefonici comunicati per fini di marketing
Il caso è arrivato alla Corte in forza di un rinvio incidentale, autrice la Corte suprema austriaca. Per ottenere un chiarimento interpretativo da parte del massimo giudice dell’Unione. In sostanza, si trattava di un’azione giudiziaria di un cittadino austriaco contro uno dei principali servizi postali austriaci (Österreichische Post).
Tale servizio pubblicava altresì elenchi telefonici e comunicava i relativi dati personali pure a terzi, per fini di marketing. Il cittadino, nonostante vari tentativi, non ha mai ricevuto l’indicazione puntuale di quali terzi avessero ricevuto, per tali fini, i suoi dati personali. Ed ecco così il procedimento, arrivato fino alla CGUE.
Nella sua difesa il servizio postale pare abbia più volte fatto riferimento a un mancato obbligo di fornire i dettagli specifici sui terzi che hanno ricevuto i dati, potendo indicarli genericamente, per categorie. Pertanto avrebbe rispettato la trasparenza nella misura richiesta dalla normativa, senza alcuna violazione.
Il diritto di accesso: il costrutto normativo
L’abbiamo menzionato, il quesito riguardava l’art. 15 GDPR, il c.d. diritto di accesso. Si collega all’estrinsecazione dei principi sul trattamento, quanto a liceità, correttezza e trasparenza, oltre che all’accountability, innestati dall’art. 5 GDPR.
Nel loro riflesso sui trattamenti, l’interessato a cui si riferiscono i dati personali ha così – tra l’altro – un diritto specifico, focalizzandoci su un particolare dell’art. 15.1(c) GDPR: “ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano e in tal caso, di ottenere l’accesso ai dati personali e alle seguenti informazioni: […] c) i destinatari o le categorie di destinatari a cui i dati personali sono stati o saranno comunicati, in particolare se destinatari di paesi terzi o organizzazioni internazionali”.
Tale diritto di accesso è una pietra angolare, visto che costituisce la base per l’esercizio degli altri diritti: una volta ottenuta conferma del trattamento, si può ottenere sia una copia che altre informazioni circa i propri dati ed esercitare, eventualmente, altre facoltà come la rettifica, la cancellazione eccetera.
Non solo: si tratta di un presidio basilare per consentire la verifica di liceità del trattamento in corso e, di conseguenza, valutare dall’esterno se sia in corso una violazione, agendo in qualche modo (dal reclamo al Garante all’azione giudiziaria).
Il Considerando 63 del GDPR lo confermerebbe: “un interessato dovrebbe avere il diritto di accedere ai dati personali raccolti che la riguardano e di esercitare tale diritto facilmente e a intervalli ragionevoli, per essere consapevole del trattamento e verificarne la liceità”. Il presidio dell’art. 15, tra le tante cose, aiuta a far comprendere se i propri dati personali siano coinvolti in trasferimenti a soggetti extra-UE, con tutto ciò che comporta se pensiamo al caso Schrems II [https://www.cybersecurity360.it/tag/schrems-ii], ad esempio.
Il concetto di “destinatari” è chiarito all’art. 4 GDPR, comprendendo “la persona fisica o giuridica, l’autorità pubblica, il servizio o un altro organismo che riceve comunicazione di dati personali, che si tratti o meno di terzi”. Si può trattare, nella logica vista sopra, di data buyers (acquirenti dei dati personali, titolari autonomi), partner commerciali (eventualmente contitolari), fornitori che devono utilizzare i dati (quali responsabili ex art. 28 GDPR) eccetera.
Come va collocato e interpretato il diritto di accesso
Richiamando l’art. 15.1.(c) GDPR, il fulcro del quesito posto alla CGUE è sulla “o” disgiuntiva: pare offrire un’alternativa, priva di condizioni o priorità, tra (i) destinatari o (ii) categorie di destinatari. Allora, caso per caso, si potrà applicare a piacere uno o l’altro criterio? Basterà replicare a un interessato che i suoi dati sono stati comunicati, per fare un mero esempio, a società terze di un certo settore o si dovrà menzionare esattamente la ragione sociale e altri dati di ognuna di tali società? Questo è ciò che ha cercato di sostenere la società postale austriaca.
La Corte ha ribattuto con una sua risposta netta e contraria, sfruttando un’interpretazione “olistica” (del contesto e degli obiettivi), combinando il dato letterale dell’art. 15 agli altri diritti collegati. Semplificando la ratio: come potrebbe un interessato esercitare i propri diritti verso terzi destinatari – che hanno ricevuto i dati personali – se il primo titolare, quello d’origine del flusso, non comunicasse i dettagli precisi che identificano tali terzi? Ad es. per revocare un consenso.
Per la CGUE ciò rappresenterebbe una lesione dei diritti riconosciuti dal GDPR, dei principi sottesi. Il diritto di accesso rappresenta il cuore del sistema di protezione, senza il quale verrebbe meno il senso dell’intera tutela normativa, e va pertanto tutelato nella maggior misura possibile (pur senza essere un diritto assoluto).
E dunque l’ipotesi di segnalare le mere “categorie” di destinatari non andrebbe applicata? È pur sempre la lettera della legge a dirlo, a presentare l’opzione che abbiamo riportato sopra.
Ebbene, la Corte ricostruisce il diritto in parola come segue:
- in sede di accesso, l’interessato ha facoltà di scelta, potendo richiedere le categorie così come il dettaglio dei destinatari – cioè ha il diritto di sapere chi siano (o saranno: si tratta di soggetti effettivi o potenziali, dunque ricavabili ex post o ex ante il trattamento) i precisi, singoli destinatari dei suoi dati personali, con loro esatta identificazione – tale da permettere, eventualmente, di contattarli ed interpellarli circa l’esercizio esteso dei propri diritti;
- una prima eccezione si ha qualora sia “impossibile” identificare i destinatari;
- una seconda eccezione si ha qualora le richieste di accesso dell’interessato siano “manifestamente infondate o eccessive”, come previsto dall’art. 12.5 GDPR;
- nelle predette eccezioni, si potrà utilizzare la mera categoria di destinatari nel replicare all’interessato;
- grava sul titolare l’onere di comprovare i requisiti per l’applicazione delle eventuali eccezioni;
- sebbene la CGUE non lo menzioni, ricordiamo che eventuali altre eccezioni potrebbero sussistere – ex art. 28 GDPR – se previste normativamente (a livello nazionale o sovranazionale che sia).
La CGUE sostiene, pertanto, che “l’identità concreta dei destinatari dei dati personali rappresenta un’informazione essenziale per l’interessato, poiché gli permette di conoscere a chi i suoi dati personali sono stati comunicati e in quali contesti vengono utilizzati”.
Il supporto integrativo delle linee guida EDPB e WP29
È interessante richiamare, in tal senso, quanto espresso dal gruppo delle autorità riunito come EDPB: nelle sue linee guida 1/2022 proprio sul diritto di accesso, l’EDPB aveva fornito alcuni criteri sulle richieste manifestamente infondate ed eccessive (punto 6.3 delle linee guida). Orientando un’interpretazione in via molto restrittiva, considerato che si tratta di eccezioni, esplorandone i vari risvolti.
Tuttavia sulla prima e più importante eccezione del nostro caso – l’impossibilità – il documento EDPB fornisce minor supporto. Si afferma che, in generale, si dovrebbero indicare i destinatari “effettivi”, riconoscendo d’altro canto che a volte non sia ancora possibile menzionarli – potrebbe accadere nel momento di resa dell’informativa ex artt. 13 e 14 del GDPR, se fino allora non sono noti i terzi coinvolti concretamente, limitandosi così alle sole categorie. E che l’art. 19 GDPR (sull’obbligo di notifica in caso di rettifica, cancellazione o limitazione) richiede, tra l’altro, di comunicare all’interessato chi siano i destinatari “qualora l’interessato lo richieda”. Proprio per garantire il possibile esercizio dei suoi diritti verso di loro.
Come detto, si tratta di ristretta eccezione, non potendosi certo invocare un’impossibilità “di comodo” per aggirare una richiesta. Si dovrà comprovare, presumibilmente, perché non si è stati in grado di tracciare a priori il flusso di dati, per ragioni di oggettiva impossibilità.
Da ultimo, si può ricordare che già il WP29 (precedente incarnazione dell’EDPB) nell’allegato alle proprie linee guida sulla trasparenza WP260 avevano segnalato, in ottica di trasparenza informativa – già in sede di applicazione degli artt. 13-14 GDPR – qualcosa che si avvicinava alla pronuncia della CGUE.
Ovvero che “conformemente al principio di correttezza, i titolari del trattamento devono fornire sui destinatari le informazioni più pregnanti per gli interessati. In pratica, si tratterà in genere dei nomi dei destinatari, in maniera tale che gli interessati sappiano con precisione chi è in possesso dei dati personali che li riguardano”. Non arrivavano tuttavia al risultato della Corte, visto che concludevano che “se i titolari del trattamento optano per fornire le categorie dei destinatari, le informazioni dovrebbero essere il più specifiche possibile e indicare il tipo (ad es. facendo riferimento alle attività svolte), l’ambito di attività, il settore, il comparto e la sede dei destinatari”. Tale indicazione “opzionale” pare oggi superata dal risultato interpretativo della CGUE, che fa salvi solo i casi eccezionali detti sopra.
Peraltro nelle stesse linee guida il WP29 precisava – pur trattando dell’art. 14 GDPR – che di “impossibilità” nel fornire informazioni si possa trattare in caso di trattamento “a fini di archiviazione, di ricerca scientifica o storica o a fini statistici”. Il che andrà comunque contestualizzato e comprovato, non potendo a priori dirsi sufficiente la mera invocazione di questi scopi.
Sempre il WP29 precisa che vanno dimostrati i fattori di impedimento, come quelli temporali, e che “in pratica, vi saranno pochissime situazioni in cui il titolare del trattamento potrà dimostrare l’effettiva impossibilità di fornire le informazioni all’interessato”. Non si potrà accampare una difesa affermando che il tracciamento preciso sarebbe “laborioso e dispendioso in termini di tempo”, nonostante l’autonomia ammessa dal principio di accountability.
Difatti se proprio lo fosse, inevitabilmente, per quel titolare, semplicemente il trattamento non dovrebbe essere attuato.
I risvolti implementativi
Va da sé che quanto sopra comporta un onere complesso per i titolari: tenere traccia accurata di tutto il flusso di dati personali all’esterno, documentandolo. Come tradurlo in compliance interna? Alcune indicazioni possono essere utili a tutti i titolari, i quali devono adottare – in via di accountability – tutte le misure appropriate (di privacy by design) per fornire le comunicazioni di cui all’art. 15 GDPR:
- i CRM e altri sistemi di data governance devono tracciare tecnicamente (con log e altro) quali dati sono condivisi all’esterno e da parte di chi, oltre che eventuali mutamenti (ad es. correzione dei dati) che debbano essere comunicati;
- accompagnare tali misure essere accompagnate da procedure interne e relativa formazione, anche quanto alle richieste di esercizio dei dati personali che si possono ricevere;
- si dovranno identificare nelle procedure – preventivamente, per quanto possibile – se e quando sia possibile comunicare all’interessato solo le categorie di destinatari nei ristrettissimi casi ipotizzabili (impossibilità ecc.);
- analogamente, in sede di DPIA cioè valutazione di impatto privacy ex art. 35 GDPR si dovrà ponderare se si è in grado di rispettare l’esercizio del diritto di accesso, nella misura precisata dalla CGUE – in caso contrario, e al netto delle possibili eccezioni, la valutazione dovrebbe impedire una valutazione positiva del trattamento che, così, non dovrebbe essere praticato;
- prevedere contrattualmente verso tali esterni obblighi di collaborazione, comunicazione e informazione circa i dati personali ricevuti;
- ancor prima, i terzi esterni dovrebbero essere oggetto di screening per accertare se e come siano in grado di garantire quanto sopra e, più in generale, il rispetto delle normative applicabili, non solo quanto alle idonee misure di sicurezza eccetera.
